Nghị định 330/2026/NĐ-CP có hiệu lực từ ngày 19/8/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Với doanh nghiệp, điểm đáng chú ý không chỉ là mức phạt. Nghị định biến nhiều yêu cầu về quản trị và bảo vệ dữ liệu thành những rủi ro pháp lý có chế tài cụ thể.
Điều đó có nghĩa doanh nghiệp không nên chỉ hỏi “mức phạt bao nhiêu?”, mà cần kiểm tra lại toàn bộ cách dữ liệu cá nhân được thu thập, sử dụng, chia sẻ, lưu giữ, bảo vệ và xóa. Bài viết này tập trung vào phần đó, thay vì tóm tắt toàn bộ 82 điều của Nghị định.
Tóm tắt nhanh
Nghị định 330/2026/NĐ-CP quy định chế tài cho nhiều hành vi liên quan dữ liệu cá nhân. Doanh nghiệp nên ưu tiên 6 việc: lập bản đồ dữ liệu; quản lý căn cứ xử lý và sự đồng ý; đánh giá rủi ro; kiểm soát chia sẻ/chuyển dữ liệu; xóa an toàn; giám sát và ứng phó sự cố
Nghị định 330/2026/NĐ-CP là gì?
Nghị định 330/2026/NĐ-CP do Chính phủ ban hành ngày 19/8/2026 và có hiệu lực ngay từ cùng ngày. Văn bản gồm 4 chương, 82 điều, quy định hành vi vi phạm, mức phạt, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Cần hiểu đúng: đây là nghị định về xử phạt. Các nghĩa vụ nền tảng về bảo vệ dữ liệu cá nhân còn phải được đọc cùng Luật Bảo vệ dữ liệu cá nhân và các văn bản liên quan. Nghị định 330 làm rõ hậu quả pháp lý khi tổ chức, cá nhân vi phạm những nghĩa vụ đó.
Đối với Mục 6 về bảo vệ dữ liệu cá nhân, mức tiền phạt trong Nghị định áp dụng cho tổ chức; cá nhân thực hiện cùng hành vi thường chịu mức bằng một nửa. Nghị định cũng quy định mức phạt tối đa với một số nhóm vi phạm: đến 3 tỷ đồng đối với các hành vi khác về dữ liệu cá nhân, đến 5% doanh thu năm trước liền kề tại Việt Nam với một số vi phạm chuyển dữ liệu xuyên biên giới, và tối đa 10 lần khoản thu với hành vi mua bán dữ liệu cá nhân.
Xem thêm: Luật bảo vệ dữ liệu cá nhân: Doanh nghiệp đối diện mức phạt hàng tỷ đồng nếu rò rỉ dữ liệu
Vì sao doanh nghiệp cần nhìn Nghị định 330 dưới góc độ bảo vệ dữ liệu?
Một điểm dễ bỏ sót là nhiều vi phạm không bắt đầu từ một cuộc tấn công mạng. Doanh nghiệp có thể gặp rủi ro chỉ vì không có quy trình xử lý dữ liệu, không chứng minh được sự đồng ý, chia sẻ dữ liệu sai phạm vi, xóa dữ liệu không an toàn hoặc không đánh giá rủi ro trước khi xử lý.
Điều 47 là ví dụ rõ nhất. Nghị định quy định phạt 10 – 20 triệu đồng nếu không thiết lập quy trình, không kiểm tra định kỳ hoặc không có cơ chế tiếp nhận phản ánh; phạt 20 – 30 triệu đồng nếu không triển khai biện pháp bảo vệ phù hợp làm lộ, mất dữ liệu hoặc không đánh giá rủi ro.
Vì vậy, bảo vệ dữ liệu theo Nghị định 330 cần được nhìn ở ba lớp: quản trị quy trình, trách nhiệm con người và biện pháp kỹ thuật. Thiếu một trong ba, doanh nghiệp vẫn có thể để lại khoảng trống tuân thủ.
6 việc doanh nghiệp nên rà soát ngay
Biết doanh nghiệp đang giữ dữ liệu gì và vì sao cần giữ
Trước khi mua thêm công cụ bảo mật, doanh nghiệp cần biết mình đang có những loại dữ liệu cá nhân nào, chúng nằm ở đâu, ai được truy cập và được dùng cho mục đích gì. Nếu không có bản đồ dữ liệu, rất khó đánh giá đúng rủi ro hoặc chứng minh việc xử lý là phù hợp.
Với SME, có thể bắt đầu từ các nhóm quen thuộc: hồ sơ nhân sự, thông tin khách hàng, dữ liệu thanh toán, dữ liệu trên CRM, email, file chia sẻ và các hệ thống cloud đang sử dụng. Mục tiêu không phải tạo một danh mục phức tạp, mà là nhìn thấy được luồng dữ liệu từ lúc thu thập đến khi xóa.
Kiểm tra căn cứ xử lý và cách ghi nhận sự đồng ý
Nghị định 330/2026/NĐ-CP dành riêng chế tài cho các vi phạm về sự đồng ý. Ví dụ, xử lý dữ liệu sau khi thu thập mà chưa có sự đồng ý hợp lệ có thể bị phạt 30 – 50 triệu đồng; tự coi im lặng là đồng ý hoặc cố ý tiếp tục xử lý sau yêu cầu ngừng có thể bị phạt 50 – 70 triệu đồng.
Doanh nghiệp vì vậy cần kiểm tra không chỉ mẫu checkbox trên website, mà cả việc lưu bằng chứng: ai đã đồng ý, vào thời điểm nào, với mục đích nào và có thể chứng minh khi được yêu cầu hay không.
Đánh giá rủi ro và triển khai biện pháp bảo vệ phù hợp
Đây là phần liên quan trực tiếp nhất đến an toàn dữ liệu. Điều 47 quy định chế tài khi doanh nghiệp không đánh giá rủi ro hoặc không triển khai biện pháp bảo vệ phù hợp dẫn đến lộ, mất dữ liệu cá nhân.
Biện pháp phù hợp sẽ khác nhau tùy hệ thống, nhưng thường cần xem xét phân quyền truy cập, xác thực, cập nhật hệ thống, sao lưu, giám sát nhật ký, mã hóa ở nơi cần thiết, kiểm soát kết nối mạng và quy trình ứng phó sự cố. Quan trọng hơn, doanh nghiệp phải có khả năng chứng minh các biện pháp này đang được vận hành chứ không chỉ có trong tài liệu.
Kiểm soát việc chia sẻ và chuyển dữ liệu
Dữ liệu không chỉ nằm trong một hệ thống. Nó có thể được chuyển giữa các phòng ban, nhà cung cấp, đối tác hoặc dịch vụ cloud ở nước ngoài. Nghị định yêu cầu kiểm soát trách nhiệm giữa các bên và có cơ chế ngăn chia sẻ trái phép.
Với chuyển dữ liệu xuyên biên giới, rủi ro pháp lý cao hơn đáng kể. Một số hành vi nghiêm trọng có thể bị phạt theo tỷ lệ doanh thu, từ 1% đến 5% doanh thu năm tài chính liền trước tại thị trường Việt Nam, tùy quy mô lộ, mất dữ liệu và tính chất vi phạm.
Xóa dữ liệu theo cách an toàn
Xóa file hoặc format thiết bị không đồng nghĩa dữ liệu đã biến mất hoàn toàn. Điều 51 quy định mức phạt 10 – 30 triệu đồng đối với một số hành vi như xóa, hủy dữ liệu không bằng biện pháp an toàn hoặc không có biện pháp ngăn việc xâm nhập và khôi phục trái phép dữ liệu đã xóa.
Doanh nghiệp nên có quy trình riêng cho dữ liệu hết thời hạn lưu trữ, tài khoản nhân sự nghỉ việc và thiết bị chuẩn bị thanh lý. Mục tiêu là biết dữ liệu nào phải xóa, ai phê duyệt và có bằng chứng quá trình xóa đã hoàn thành.
Giám sát để phát hiện sớm và ứng phó khi có sự cố
Một biện pháp bảo vệ chỉ có giá trị khi doanh nghiệp phát hiện được lúc nó bị vượt qua. Với các cuộc tấn công, máy tính có thể đã bị mã độc xâm nhập trước khi doanh nghiệp nhận ra. Khi đó, việc nhìn thấy các kết nối bất thường, xác định thiết bị liên quan và phản ứng sớm có thể giúp giảm phạm vi ảnh hưởng.
Doanh nghiệp nên xác định rõ ai nhận cảnh báo, ai có quyền cô lập thiết bị, dữ liệu nhật ký nào cần giữ và khi nào phải chuyển sự cố cho đơn vị chuyên môn. Đây là phần kết nối giữa an ninh mạng và yêu cầu bảo vệ dữ liệu trong vận hành thực tế.
Doanh nghiệp cần lưu ý mức phạt nào?
Không nên dùng một con số duy nhất để mô tả Nghị định 330/2026/NĐ-CP, vì mức phạt phụ thuộc hành vi, đối tượng và hậu quả. Bảng dưới đây chỉ chọn một số nhóm liên quan trực tiếp đến bảo vệ dữ liệu để doanh nghiệp dễ hình dung.
| Nhóm hành vi | Mức phạt tổ chức | Điểm doanh nghiệp cần chú ý |
| Thiếu quy trình/kiểm tra định kỳ | 10 – 20 triệu đồng | Không chỉ có chính sách; cần quy trình và kiểm tra thực tế. |
| Không bảo vệ phù hợp làm lộ, mất dữ liệu; không đánh giá rủi ro | 20 – 30 triệu đồng | Liên quan trực tiếp tới biện pháp bảo vệ và quản trị rủi ro. |
| Vi phạm về sự đồng ý | 30 – 70 triệu đồng | Tùy hành vi; cần lưu được bằng chứng đồng ý. |
| Xóa/hủy dữ liệu không an toàn | 10 – 30 triệu đồng | Cần ngăn truy cập hoặc khôi phục trái phép dữ liệu đã xóa. |
| Một số vi phạm chuyển dữ liệu xuyên biên giới | 1% – 5% doanh thu | Áp dụng theo điều kiện, quy mô và hậu quả quy định tại Điều 56. |
| Các vi phạm khác về dữ liệu cá nhân | Tối đa 3 tỷ đồng | Là mức phạt tối đa theo Điều 7, không phải mức mặc định cho mọi vi phạm. |
Điểm cần lưu ý là tiền phạt có thể đi kèm biện pháp khắc phục như buộc xóa dữ liệu tới mức không thể khôi phục, dừng hoạt động xử lý/chuyển dữ liệu, thu hồi dữ liệu đã cung cấp sai hoặc cung cấp minh chứng đã khắc phục. Vì vậy, chi phí thực tế của một vi phạm có thể lớn hơn số tiền phạt.
Bảo vệ dữ liệu không chỉ là hồ sơ pháp lý
Sau Nghị định 330, doanh nghiệp dễ rơi vào hai thái cực: chỉ tập trung làm hồ sơ hoặc chỉ tập trung mua công nghệ. Cả hai đều chưa đủ. Hồ sơ giúp chứng minh mục đích, trách nhiệm và quy trình; công nghệ giúp các quy định đó được thực thi trong môi trường thật.
Ví dụ, chính sách có thể quy định chỉ một nhóm nhân sự được xem dữ liệu khách hàng. Nhưng nếu tài khoản dùng chung và không có nhật ký truy cập, doanh nghiệp khó kiểm soát trên thực tế. Tương tự, có quy trình ứng phó sự cố nhưng không có giám sát thì đội IT có thể phát hiện quá muộn.
Một chương trình bảo vệ dữ liệu thực tế nên trả lời được ba câu hỏi: dữ liệu nào cần bảo vệ; rủi ro nào có thể xảy ra; và bằng biện pháp nào doanh nghiệp có thể phát hiện, ngăn chặn hoặc giảm thiểu hậu quả.
Xem thêm: Luật An ninh mạng: 9 điểm doanh nghiệp cần biết từ 2026
F-DDH BOX hỗ trợ doanh nghiệp tuân thủ yêu cầu bảo vệ dữ liệu như thế nào?
F-DDH BOX không thay thế các nghĩa vụ pháp lý trong Nghị định 330/2026/NĐ-CP, nhưng có thể hỗ trợ doanh nghiệp ở lớp kiểm soát kỹ thuật – đặc biệt trong việc phát hiện sớm các kết nối bất thường và giảm nguy cơ dữ liệu bị đưa ra ngoài qua hạ tầng độc hại.
Cụ thể, F-DDH BOX hỗ trợ doanh nghiệp:
- Giám sát kết nối đi ra Internet: theo dõi hoạt động từ mạng nội bộ ra bên ngoài, giúp phát hiện thiết bị có dấu hiệu liên lạc với IP/C2 độc hại.
- Cảnh báo sớm nguy cơ lộ, mất dữ liệu: khi phát hiện kết nối nguy hiểm, hệ thống hỗ trợ cảnh báo để đội IT kiểm tra và xử lý thiết bị liên quan.
- Hỗ trợ kiểm soát rủi ro kỹ thuật: bổ sung thêm một lớp bảo vệ bên cạnh firewall, antivirus hoặc EDR, phù hợp với yêu cầu doanh nghiệp phải có biện pháp bảo vệ dữ liệu tương xứng với rủi ro.
- Tăng khả năng theo dõi và lưu vết sự cố: thông tin cảnh báo và kết nối giúp doanh nghiệp có thêm dữ liệu để phục vụ kiểm tra, xác minh và xử lý khi xảy ra sự cố.
Với SME, điểm đáng chú ý là F-DDH BOX có thể bổ sung năng lực giám sát mà không yêu cầu thay đổi lớn hạ tầng hiện có, phù hợp với doanh nghiệp có đội IT mỏng nhưng vẫn cần tăng khả năng kiểm soát dữ liệu.
Tuy nhiên, cần nói rõ rằng F-DDH BOX chỉ hỗ trợ một phần trong bài toán tuân thủ. Doanh nghiệp vẫn cần thực hiện các yêu cầu khác như quản lý sự đồng ý, phân quyền truy cập, đánh giá rủi ro, kiểm soát chia sẻ dữ liệu, xóa dữ liệu an toàn và xây dựng quy trình ứng phó sự cố.
Nếu doanh nghiệp đã có firewall/antivirus nhưng chưa quan sát rõ các kết nối đi ra Internet, F-DDH BOX có thể là một lớp bổ sung để phát hiện sớm kết nối tới IP/C2 độc hại.
Kết luận
Nghị định 330/2026/NĐ-CP khiến bài toán bảo vệ dữ liệu trở nên cụ thể hơn đối với doanh nghiệp: vi phạm không chỉ dẫn tới rủi ro mất khách hàng hay uy tín, mà còn có chế tài tài chính và biện pháp khắc phục rõ ràng.
Điểm quan trọng nhất không phải ghi nhớ từng mức phạt. Doanh nghiệp cần biết dữ liệu mình đang giữ, có căn cứ xử lý phù hợp, đánh giá rủi ro, kiểm soát việc chia sẻ, xóa dữ liệu an toàn và có khả năng phát hiện sự cố. Khi quy trình, con người và công nghệ được kết nối, việc tuân thủ mới trở thành một phần của vận hành thay vì chỉ là bộ hồ sơ để đối phó kiểm tra.
Câu hỏi thường gặp
Nghị định 330/2026/NĐ-CP có hiệu lực từ khi nào?
Nghị định được ban hành ngày 19/8/2026 và có hiệu lực từ cùng ngày.
Nghị định 330/2026/NĐ-CP có chỉ áp dụng cho doanh nghiệp công nghệ không?
Không. Phần bảo vệ dữ liệu cá nhân có thể liên quan tới nhiều tổ chức xử lý dữ liệu cá nhân, tùy vai trò và hành vi cụ thể.
Mức phạt tối đa về bảo vệ dữ liệu cá nhân là bao nhiêu?
Nghị định quy định nhiều cơ chế. Với các hành vi khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức tối đa đối với tổ chức là 3 tỷ đồng; một số vi phạm chuyển dữ liệu xuyên biên giới có thể tính đến 5% doanh thu năm trước liền kề tại Việt Nam; mua bán dữ liệu cá nhân có cơ chế tối đa 10 lần khoản thu.
Có F-DDH BOX là đã đáp ứng Nghị định 330/2026/NĐ-CP chưa?
Không. F-DDH BOX của FSI DDS chỉ hỗ trợ một phần ở lớp kỹ thuật: giám sát kết nối đầu ra và phát hiện/chặn kết nối tới IP/C2 độc hại theo phạm vi giải pháp. Tuân thủ còn cần quy trình, hồ sơ, phân quyền, quản lý sự đồng ý và các biện pháp khác.
Doanh nghiệp nhỏ nên bắt đầu từ đâu?
Bắt đầu từ việc lập danh mục dữ liệu cá nhân, xác định nơi lưu trữ, người có quyền truy cập và rủi ro lớn nhất. Sau đó ưu tiên biện pháp cho dữ liệu nhạy cảm và các hệ thống quan trọng.
